Qgelm

ENISA: Keine Patentlösung für die Pseudonymisierung von Daten

<html> <header class=„article-header“><h1 class=„articleheading“>ENISA: Keine Patentlösung für die Pseudonymisierung von Daten</h1><div class=„publish-info“> Stefan Krempl</div></header><figure class=„aufmacherbild“><img src=„https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/0/4/9/0/1/0/shutterstock_1444553939-3795ff492278d68a.jpeg“ srcset=„https://heise.cloudimg.io/width/700/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/0/4/9/0/1/0/shutterstock_1444553939-3795ff492278d68a.jpeg 700w, https://heise.cloudimg.io/width/1050/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/0/4/9/0/1/0/shutterstock_1444553939-3795ff492278d68a.jpeg 1050w, https://heise.cloudimg.io/width/1500/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/0/4/9/0/1/0/shutterstock_1444553939-3795ff492278d68a.jpeg 1500w, https://heise.cloudimg.io/width/2300/q75.png-lossy-75.webp-lossy-75.foil1/_www-heise-de_/imgs/18/3/0/4/9/0/1/0/shutterstock_1444553939-3795ff492278d68a.jpeg 2300w“ alt=„“ class=„img-responsive“ referrerpolicy=„no-referrer“ /><figcaption class=„akwa-caption“>(Bild: Timofeev Vladimir/Shutterstock.com)</figcaption></figure>Die EU-Cybersicherheitsbehörde ENISA stellt aktuelle Techniken sowie Einsatzszenarien zur Pseudonymisierung vor und fordert vorab eine Risikobewertung.„Pseudonymisierung ist eine etablierte und akzeptierte Datenschutzmaßnahme, die nach der Verabschiedung der Datenschutz-Grundverordnung (DSGVO) zusätzliche Aufmerksamkeit erlangt hat“, schreibt die EU-Cybersicherheitsbehörde ENISA in ihrem vorige Woche veröffentlichten Bericht zu fortgeschrittenen Verfahren und Einsatzmöglichkeiten der Technik. „Jüngste Entwicklungen“ wie das Aus für das Abkommen für den Transfer personenbezogener Daten in die USA machten es nötig, entsprechende geeignete Schutzmaßnahmen weiter voranzutreiben.Auf <a href=„https://www.enisa.europa.eu/publications/data-pseudonymisation-advanced-techniques-and-use-cases/“ rel=„external noopener“ target=„_blank“>gut 50 Seiten beleuchtet die ENISA [1]</a> so konventionelle und neuere Pseudonymisierungsmechanismen wie Zufallszahlengeneratoren, kryptographische Hashfunktionen, symmetrische und asymmetrische Verschlüsselung, Ringsignaturen und Gruppenpseudonyme, Pseudonyme auf der Basis von mehreren Identifikatoren oder Attributen, sichere Mehrparteienberechnungen und „Secret Sharing“ Schemata. Zugleich warnt sie, dass es hier keinen „One-size-fits-all“-Ansatz gebe und je für den Einzelfall passende Lösungen gesucht werden müssten.Generell werde der Einsatz und die richtige Anwendung von Techniken, eine Personenbeziehbarkeit von Daten zu erschweren, „heftig diskutiert“, ist der Behörde nicht entgangen. Forscher verweisen darauf, dass mithilfe von Big-Data-Analysen ein individueller Bezug schnell wieder hergestellt werden könnte. Gremien wie die Datenethik-Kommission fordern daher den <a href=„https://www.heise.de/meldung/Datenethik-Kommission-Verbot-von-De-Anonymisierung-und-Profilbildung-4566788.html“>standardmäßigen Einsatz weitergehender Verfahren zur Anonymisierung und ein Verbot, diese zu umgehen [2]</a>.<h3 class=„subheading“ id=„nav_pseudonymisierun0“>Pseudonymisierung wichtig für Datenschutz</h3>Auf Basis früherer Arbeiten über <a href=„https://www.enisa.europa.eu/publications/pseudonymisation-techniques-and-best-practices“ rel=„external noopener“ target=„_blank“>bewährte Pseudonymisierungspraktiken [3]</a> und <a href=„https://www.enisa.europa.eu/publications/recommendations-on-shaping-technology-according-to-gdpr-provisions-part-2“ rel=„external noopener“ target=„_blank“>Empfehlungen zur DSGVO-Umsetzung [4]</a> geht es der ENISA aber vor allem darum, dass Anwender den Gesamtkontext einer Datenverarbeitung beachten und die Implementierung verbessern. Der Direktor der Behörde, Juhan Lepassaar, betonte: Security-Techniken wie Pseudonymisierung seien „ein integraler Bestandteil, um die Datenschutzverpflichtungen zu erfüllen und es den Nutzern zu ermöglichen“, und ihr Grundrecht auf Privatsphäre vollumfänglich zu genießen.Generell ist dem Bericht zufolge „ein hohes Maß an Kompetenz erforderlich“, um Bedrohungen zum Aushebeln einschlägiger Techniken zu reduzieren und die Effizienz bei der Verarbeitung pseudonymisierter Daten in verschiedenen Einsatzbereichen zu erhalten. Als konkrete Anwendungsfälle beleuchten die Autoren das Gesundheitswesen und dem Informationsaustausch im Bereich Cybersicherheit.„Ein Arzt benötigt meist Zugriff auf die relevanten medizinischen Daten, aber nicht unbedingt auf die versicherungsrelevanten finanziellen Aspekte“, heißt es in einem Beispiel. Eine Krankenkasse wiederum sollte bestenfalls keinen Zugriff auf viele Details über die genaue Diagnose und die Krankengeschichte haben, solange diese nicht zahlungsrelevant sind. Medizinische Forschungseinrichtungen wiederum bräuchten Informationen darüber, ob ein Patient mit einem bestimmten Medikament behandelt wird oder nicht und obendrein eventuell die Diagnose, aber nicht den echten Namen von Patienten oder die genaue Krankengeschichte oder die finanziellen Daten.Im zweiten Bereich verweisen die Verfasser etwa auf den <a href=„https://www.heise.de/news/Datenschuetzer-Windows-10-Nutzer-bei-Telemetrie-nicht-aus-dem-Schneider-4976556.html“>Streit über Telemetrie-Daten [5]</a> bei Anwendungen wie Microsoft Windows und Office 365. Das Sammeln solcher Nutzungsinformationen aus der realen Welt sei für eine „analytikbasierte“ effiziente Cyberabwehr unerlässlich. Dies könne etwa über eine Honeypot-Infrastruktur weitgehend anonym erfolgen, in den meisten Fällen würden aber Daten per „Crowdsourcing“ von Benutzerendpunkten erhoben, was eine „sensible Aufgabe“ darstelle. Als mögliche organisationale Lösungen jenseits der reinen Technik bringen die Autoren etwa Treuhänder oder „Personal Information Management“-Systeme (PIMS) ins Spiel.<h3 class=„subheading“ id=„nav_risikobewertung_1“>Risikobewertung</h3>Die ENISA plädiert für eine „kontinuierliche Analyse des Stands der Technik im Bereich der Pseudonymisierung“, um neue Forschungsergebnisse und Geschäftsmodelle rasch zu berücksichtigen, sowie die Entwicklung fortgeschrittener Szenarien für Fälle mit hohen Risiken beim Verarbeiten persönlicher Daten. Die EU-Kommission sowie die relevanten Institutionen und Aufsichtsbehörden sollten einen breiteren Einsatz der Technik diskutieren und fördern, „indem sie alle relevanten Akteure in diesem Bereich zusammenbringen“.() <hr />URL dieses Artikels:

https://www.heise.de/-5042562

Links in diesem Artikel:

<strong>[1]</strong>&#160;https://www.enisa.europa.eu/publications/data-pseudonymisation-advanced-techniques-and-use-cases/

<strong>[2]</strong>&#160;https://www.heise.de/meldung/Datenethik-Kommission-Verbot-von-De-Anonymisierung-und-Profilbildung-4566788.html

<strong>[3]</strong>&#160;https://www.enisa.europa.eu/publications/pseudonymisation-techniques-and-best-practices

<strong>[4]</strong>&#160;https://www.enisa.europa.eu/publications/recommendations-on-shaping-technology-according-to-gdpr-provisions-part-2

<strong>[5]</strong>&#160;https://www.heise.de/news/Datenschuetzer-Windows-10-Nutzer-bei-Telemetrie-nicht-aus-dem-Schneider-4976556.html

<strong>[6]</strong>&#160;mailto:olb@heise.de

Qgelm

Seiten-Werkzeuge

Webseiten-Werkzeuge

Benutzer-Werkzeuge

ENISA: Keine Patentlösung für die Pseudonymisierung von Daten